La sicurezza informatica è una delle poche aree IT in cui la certificazione compare esplicitamente nelle descrizioni di ruolo. L’effetto collaterale sono roadmap lunghissime che elencano dieci esami e non dicono mai quale saltare. Questa guida fa l’opposto: propone una sequenza corta, spiega la logica dell’ordine e indica dove fermarsi.
A chi parla questa guida e da quali competenze si parte davvero
Il lettore tipo non ha esperienza specifica di sicurezza, ma quasi mai parte davvero da zero: help desk, assistenza, sistemistica leggera o studi tecnici recenti. Questa base conta, perché la sicurezza non è una materia autonoma, è un modo di guardare a sistemi che devi già saper leggere. Chi non ha mai visto una rete, un dominio o un’identità aziendale non studia sicurezza, studia definizioni.
Due competenze pesano più delle altre. La prima è capire come funziona una rete: indirizzi, porte, DNS, cosa attraversa cosa. La seconda è capire come funziona un’identità aziendale: utente, gruppo, autenticazione, autorizzazione. Se ti mancano entrambe, la prima tappa non è un esame di sicurezza, è colmare quella lacuna.
C’è poi una scelta da fare presto, e determina tutto il resto: security analyst, cioè chi guarda alert, log e incidenti, oppure identity administrator, cioè chi governa account, accessi e privilegi. Sono mestieri vicini ma non uguali, e la seconda tappa cambia a seconda di quale scegli.
Perché questa sequenza e non un’altra
La logica dell’ordine è una sola: prima il vocabolario, poi un ruolo, poi eventualmente il disegno. Fundamentals, associate ed expert non sono una gerarchia di prestigio, sono una gerarchia di domande. Un fundamentals chiede “che cos’è”, un associate “come lo configuri e lo diagnostichi”, un expert “cosa scegli e perché, dati questi vincoli”. Non puoi rispondere alla terza se non hai mai risposto alla seconda, e nella sicurezza Microsoft non è un consiglio ma una regola: l’expert di architettura ha un prerequisito formale.
La sequenza più diffusa (fundamentals, poi SC-300 o 200-201, poi SC-100 o 350-701) va però corretta su due punti, altrimenti porta fuori strada.
Primo: SC-300 e 200-201 non sono alternative allo stesso mestiere. SC-300 forma un identity administrator, 200-201 forma un analista SOC. Se il tuo obiettivo è security analyst sullo stack Microsoft, l’esame corrispondente non è SC-300 ma SC-200 Security Operations Analyst.
Secondo: 350-701 SCOR non è la prosecuzione naturale di 200-201. È l’esame core del CCNP Security, un percorso da security engineer di rete e non da analista, e dà per scontate competenze di routing e switching di livello CCNA 200-301. Metterlo subito dopo 200-201 è il modo più efficiente per bruciare circa 300 USD.
Tappa 1: le fondamenta, SC-900 oppure 100-160
SC-900 valida quattro aree: i concetti di sicurezza, compliance e identità (responsabilità condivisa, difesa in profondità, Zero Trust, cifratura); le capacità di Microsoft Entra (tipi di identità, MFA, Conditional Access, Privileged Identity Management); le soluzioni di sicurezza Microsoft (Azure Firewall, Key Vault, Defender for Cloud, Microsoft Sentinel come SIEM e SOAR, Defender XDR); e la compliance con Microsoft Purview (sensitivity label, DLP, retention, insider risk, eDiscovery).
100-160 CCST Cybersecurity copre cinque aree con un taglio diverso: principi essenziali di sicurezza, sicurezza di rete, sicurezza degli endpoint, vulnerability assessment e gestione del rischio, gestione degli incidenti. Cisco la presenta come primo passo verso CyberOps Associate.
Perché stanno in prima posizione: sono esami descrittivi, chiedono cosa fa una cosa e quando ha senso, non come si configura. Servono a rendere leggibili le domande dell’associate, che quel lessico lo dà per acquisito. Nessuno dei due ha prerequisiti. SC-900 costa circa 99 USD, ha passing score 700 su 1000 e non scade; 100-160 costa circa 125 USD.
Tappa 2: il primo ruolo vero
Qui il percorso si biforca, e la biforcazione è la vera decisione da prendere.
Se punti a identity administrator, la tappa è SC-300. Valida quattro aree: gestione delle identità utente (ruoli, utenti e gruppi, identità esterne e cross-tenant, identità ibrida con Entra Connect Sync e Cloud Sync); autenticazione e accessi (passkey FIDO2, MFA, SSPR, Conditional Access, ID Protection, Global Secure Access); identità dei carichi di lavoro (managed identity, service principal, applicazioni enterprise); e governance (entitlement management, access review, Privileged Identity Management, monitoraggio con log e KQL).
Cosa serve prima: Microsoft indica familiarità con Azure, i servizi Microsoft 365 e Active Directory Domain Services, oltre a PowerShell e Kusto Query Language. Tradotto: serve un tenant reale o di prova.
Se punti a security analyst, hai due strade. Sullo stack Microsoft l’esame è SC-200 Security Operations Analyst. Sul versante Cisco è 200-201 CyberOps Associate, che valida cinque aree: concetti di sicurezza, security monitoring, analisi host-based, analisi delle intrusioni di rete, policy e procedure di sicurezza. È l’esame che i team SOC citano più spesso nelle posizioni entry-level.
Costo indicativo: circa 165 USD per le role-based Microsoft, che scadono dopo 12 mesi ma si rinnovano gratis online su Microsoft Learn; circa 300 USD per 200-201.
Tappa 3: il bivio, non l’obbligo
SC-100 Cybersecurity Architect valida la progettazione: resilienza contro il ransomware, allineamento alle Microsoft Cybersecurity Reference Architectures e al Cloud Security Benchmark, disegno di security operations, identità e compliance, sicurezza dell’infrastruttura ibrida e multicloud, sicurezza di applicazioni e dati. Non chiede di configurare, chiede di scegliere.
Sta in terza posizione per una ragione vincolante: Microsoft rilascia il badge expert solo a chi possiede già almeno una associate tra Identity and Access Administrator (SC-300), Security Operations Analyst (SC-200) e Azure Security Engineer Associate. Quest’ultima si basa su AZ-500, che si ritira il 31 agosto 2026: oggi le due strade sicure sono SC-300 e SC-200.
350-701 SCOR è l’altro ramo, ed è un ramo diverso, non un livello superiore dello stesso. Copre network security, cloud security, content security, endpoint protection, secure network access, visibilità ed enforcement, ed è l’esame core del CCNP Security, da abbinare a una concentration. Nota di calendario: la v1.1 è sostenibile fino al 26 agosto 2026, la v2.0 parte dal 27 agosto 2026. Prima di affrontarlo servono davvero le basi di rete del CCNA.
Quanto tempo richiede ciascuna tappa
Nessuna cifra secca sarebbe onesta, perché il tempo dipende quasi solo da quanto del percorso stai già facendo al lavoro. Quello che si può dire è la forma della curva.
La prima tappa è la più breve: qualche settimana di studio serale a ritmo costante basta alla maggior parte delle persone, perché il livello richiesto è concettuale.
La seconda richiede sensibilmente di più e non è comprimibile: è la tappa in cui chi studia solo su video viene bocciato con regolarità, perché le domande chiedono di configurare e diagnosticare. Quello che accorcia i tempi non sono le ore, è avere un ambiente su cui esercitarsi.
La terza è la più variabile: misura maturità professionale più che studio, e chi non ha ancora progettato nulla non l’accorcia leggendo.
Gli errori tipici di chi segue questo percorso
Accumulare fundamentals. È l’errore più costoso, ed è l’opposto di quello che ci si aspetta. Quattro badge di livello base in fila non dimostrano che sai amministrare qualcosa: dimostrano che sai leggere. Una sola associate cambia come viene letto il profilo.
Saltare le fondamenta quando servono. Il rovescio della medaglia: prenotare un associate senza il vocabolario è possibile, ma ogni tentativo fallito costa un esame intero.
Scambiare SC-300 per l’esame da analista. È la confusione più frequente e porta a studiare per mesi il mestiere sbagliato.
Pianificare su esami in ritiro. Un piano a dodici mesi che mette AZ-500 in fondo arriva fuori tempo massimo, perché si ritira il 31 agosto 2026. Il calendario dei ritiri va controllato prima di costruire una roadmap, non dopo.
Studiare senza mai toccare nulla. Chi arriva al colloquio con una certificazione ma non ha mai visto un alert reale viene individuato subito.
Cosa non serve certificare
La prima cosa da saltare, se hai già esperienza, è il fundamentals: nessuna associate lo richiede formalmente. Chi amministra già utenti, gruppi e accessi su Entra ID non impara nulla di nuovo da SC-900 e può andare diretto su SC-300 o SC-200. Chi ha già una base solida di rete e sa cosa sono una ACL e un IDS può saltare 100-160.
La seconda sono i fundamentals di aree che non stai perseguendo: un aspirante analista non ha bisogno dei badge base di dati, low-code o AI prima di arrivare a una associate.
La terza è il livello expert, finché non serve. SC-100 certifica un mestiere che si fa dopo anni, non dopo un esame: se il tuo primo anno da analista è appena cominciato, una seconda associate vale più di un titolo di architettura che non sai ancora esercitare.
Dove porta il percorso e quali sono i bivi successivi
Con un fundamentals più una associate hai un profilo leggibile: identity administrator con SC-300, analista di security operations con SC-200 o 200-201. Da lì i bivi sono tre.
Approfondire il ruolo. Chi fa identità aggiunge il presidio degli accessi di rete: la concentration Cisco 300-715 SISE su Identity Services Engine, 802.1X e NAC copre esattamente il pezzo che manca.
Combinare i due piani. Il profilo più ricercato non è “quello Microsoft” o “quello Cisco”: è chi sa leggere una cattura di pacchetti e anche una query su un SIEM cloud. La coppia 200-201 più SC-200 copre l’intero flusso di un incidente, dalla rete all’identità compromessa.
Salire di livello. SC-100 sul versante architetturale, una volta maturato il prerequisito e soprattutto l’esperienza; CCNP Security sul versante engineering.
Nessuno di questi bivi va imboccato prima di aver consolidato la seconda tappa. Il valore di un percorso non sta nella lunghezza dell’elenco, sta nel fatto che ogni titolo corrisponda a qualcosa che sai fare.